Úrskurður um upplýsingaöflun Hagstofu Íslands

Mál nr. 2017/549

26.2.2018

Úrskurður

 

Á fundi stjórnar Persónuverndar hinn 18. janúar 2018 var kveðinn upp svohljóðandi úrskurður í máli nr. 2017/549:

 

I.
Bréfaskipti

 

Persónuvernd hefur borist kvörtun, dags. 23. mars 2017, frá [A] yfir upplýsingaöflun í þágu könnunar á vegum Hagstofu Íslands. Nánar tiltekið er kvartað yfir því að hringt hafi verið í dóttur hans, búsetta í sama húsi og hann, til að afla upplýsinga um persónulega hagi hans og eiginkonu hans, m.a. um hvort þau nái endum saman og hafi efni á utanlandsferðum. Með þessu sé ráðist inn í persónulegt líf þeirra.

Með bréfi, dags. 26. maí 2017, veitti Persónuvernd Hagstofu Íslands færi á að tjá sig um framangreinda kvörtun. Svarað var með bréfi, dags. 20. júní s.á. Þar segir að af efnisatriðum kvörtunarinnar að dæma hafi dóttir kvartanda verið í úrtaki lífskjararannsóknar Hagstofu Íslands vorið 2017, en sams konar rannsóknir hafi verið gerðar frá árinu 2004 á grundvelli Evrópulöggjafar, einkum reglugerðar (ESB) nr. 1177/2003, og fest sig í sessi sem óvilhöll mæling á lífskjörum. Tilgangur rannsóknanna, þar sem úrtakseiningin sé heimili þeirra einstaklinga 16 ára og eldri sem dregnir séu í úrtakið, sé sá að draga upp heildarmynd af dreifingu lífskjara eftir ólíkum hópum heimila á Íslandi sem hægt sé að bera saman við niðurstöður í öðrum löndum á Evrópska efnahagssvæðinu. Sé um að ræða heimilisrannsóknir byggðar á viðtölum í síma þar sem viðmælandi sé spurður um persónulega hagi sína. Ekki sé óskað upplýsinga um aðra heimilismenn að því þó undanskildu að spurt sé um menntun þeirra og stöðu á vinnumarkaði. Að öðru leyti lúti spurningarnar, þ. á m. um hvort endar nái saman og um utanlandsferðir, eingöngu að heimili viðmælanda, þ.e. húsnæði heimilisins, hvort það ráði við húsnæðiskostnað og hvort efnahagur þess sé takmarkandi að öðru leyti, en ekki heimilisfólkinu sem slíku.

Með bréfi, dags. 11. júlí 2017, ítrekuðu með bréfi, dags. 22. september s.á., veitti Persónuvernd áðurnefndum kvartanda færi á að tjá sig um framangreint bréf Hagstofu Íslands. Ekki hefur borist svar frá honum.

 

II.
Forsendur og niðurstaða 

1.
Gildissvið laga nr. 77/2000
Ábyrgðaraðili

 

Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. sömu greinar. Kemur fram í athugasemdum við ákvæðið í því frumvarpi, sem varð að lögum nr. 77/2000, að hver sú aðferð, sem nota má til að gera upplýsingar tiltækar, telst til vinnslu.

Leggja verður til grundvallar að þær upplýsingar, sem Hagstofa Íslands skráði við rannsókn sína á lífskjörum vorið 2017, megi tengja við viðmælendur og þar með heimili þeirra og annað heimilisfólk að því marki sem spurt er um hagi þess og heimilisins. Meðferð svara um menntun annarra heimilismanna og stöðu þeirra á vinnumarkaði telst því til vinnslu persónuupplýsinga í samræmi við framangreint sem fellur undir valdsvið Persónuverndar. Að auki verður að líta svo á að upplýsingar, sem lúta að heimilinu sem slíku, feli jafnframt í sér upplýsingar um persónulega hagi þeirra sem þar búa. Telst því einnig þar vera um að ræða vinnslu persónuupplýsinga sem fellur undir valdsvið stofnunarinnar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Hagstofa Íslands vera ábyrgaraðili að umræddri vinnslu.

 

2.
Lögmæti vinnslu

Svo að vinnsla persónuupplýsinga sé heimil þarf ávallt að vera fullnægt einhverju skilyrða 8. gr. laga nr. 77/2000. Vinnsla persónuupplýsinga í rannsóknarskyni getur meðal annars átt heimild í 1. tölul. 1. mgr. þeirrar greinar, en þar kemur fram að vinna má með persónuupplýsingar á grundvelli samþykkis hins skráða. Þar sem fyrir liggur að kvartandi samþykkti ekki að dóttir hans yrði spurð um atriði, sem rekja má til hans, er ljóst að þessi heimild getur ekki átt við hér. Til þess er hins vegar einnig að líta að vinnsla persónuupplýsinga á vegum stjórnvalda getur oft stuðst við 3. tölul. 1. mgr. fyrrnefnds ákvæðis, þess efnis að vinna má með persónuupplýsingar sé það nauðsynlegt til að fullnægja lagaskyldu, sem og 6. tölul. sömu málsgreinar, þess efnis að vinnsla sé heimil sé hún nauðsynleg við beitingu opinbers valds. Í tengslum við vinnslu á vegum stjórnvalda, auk vinnslu sem fram fer í rannsóknarskyni, er og til þess að líta að samkvæmt 5. tölul. 1. mgr. umrædds ákvæðis er vinnsla persónuupplýsinga heimil sé hún nauðsynleg vegna verks sem unnið er í þágu almannahagsmuna. Í athugasemdum við þennan tölulið í greinargerð með því frumvarpi, sem varð að lögum nr. 77/2000, er vinnsla í sagnfræðilegum, tölfræðilegum eða vísindalegum tilgangi tekin sem dæmi um það sem fallið getur hér undir.

Við mat á heimild til vinnslu verður, auk 8. gr. laga nr. 77/2000, einnig að líta til ákvæða í öðrum lögum sem við eiga hverju sinni. Í 1. gr. laga nr. 163/2007 um Hagstofu Íslands kemur fram að hún skuli vinna að opinberri hagskýrslugerð. Samkvæmt 2. mgr. þeirrar greinar er þar átt við söfnun gagna til tölfræðilegrar úrvinnslu um landshagi Íslands og þjóðfélagsleg málefni, úrvinnslu gagnanna og miðlun tölfræðilegra upplýsinga til almennings, fyrirtækja, stofnana og stjórnvalda. Samkvæmt 8. gr. laganna skal Hagstofan afla nauðsynlegra hagskýrslugagna um einstaklinga og heimili úr opinberum skrám og á grundvelli stjórnsýslugagna eftir því sem kostur er. Þá segir að Hagstofunni sé að öðru leyti heimilt að afla persónubundinna upplýsinga beint frá einstaklingum.

Til þess er einnig að líta að um lífskjararannsóknir eins og þá sem hér um ræðir er að finna sérstök ákvæði í reglugerð (EB) nr. 1177/2003 um hagskýrslur Bandalagsins um tekjur og lífskjör (EU-SILC), sbr. 59. tölul. 1. gr. reglugerðar nr. 777/2016 um gildistöku og innleiðingu tiltekinna gerða Evrópusambandsins á sviði hagskýrslugerðar, sbr. einnig ákvörðun Sameiginlegu EES-nefndarinnar hinn 8. júní 2004. Segir í 2. mgr. 7. gr. umræddrar Evrópureglugerðar að meginupplýsingarnar í hagskýrslum samkvæmt henni skuli lúta að annars vegar einkaheimilum, þ. á m. stærð þeirra, samsetningu og megineinkennum, og hins vegar einstaklingum 16 ára og eldri. Nánari umfjöllun um upplýsingasöfnun er að finna í meðal annars reglugerð (EB) nr. 1981/2003 um framkvæmd reglugerðar (EB) nr. 1177/2003 að því er varðar framkvæmdarþætti og tilreikningsaðferðir, sbr. 66. tölul. 1. gr. reglugerðar nr. 777/2016, sbr. og fyrrnefnda ákvörðun Sameiginlegu EES-nefndarinnar. Eins og fram kemur í 4. kafla viðauka við reglugerð (EB) nr. 1981/2003 getur komið til þess að einstaklingar á heimili niður að 16 ára aldri svari spurningum varðandi heimilið. Þá er ljóst af upptalningu í viðauka með reglugerð (EB) nr. 1983/2003 um framkvæmd reglugerðar (EB) nr. 1177/2003 að því er varðar skrá yfir aðalmarkbreytur, sbr. 68. tölul. 1. gr. reglugerðar nr. 77/2006, sbr. og áðurgreinda ákvörðun Sameiginlegu EES-nefndarinnar, að þar getur verið um að ræða spurningar um atriði sambærileg þeim sem um ræðir í máli þessu, sbr. m.a. 22.–24. síðu Evrópureglugerðarinnar eins og hún birtist í Stjórnartíðindum ESB.

Þegar litið er til framangreindra ákvæða 8. gr. laga nr. 77/2000, laga nr. 163/2007 og Evrópulöggjafar, sem tekin hefur verið upp í EES-samninginn og innleidd í íslenskan rétt, telur Persónuvernd ljóst að Hagstofa Íslands hafi haft heimild til að vinna með persónuupplýsingar í þágu þeirrar rannsóknar á lífskjörum sem fram fór vorið 2017. Sem endranær þurfti sú vinnsla hins vegar að samrýmast grunnkröfum 1. mgr. 7. gr. laga nr. 77/2000, þ. á m. um að vinnsla skal vera sanngjörn og samrýmast vönduðum vinnsluháttum (1. tölul.), sem og að upplýsingar skulu vera áreiðanlegar og uppfærðar eftir þörfum en að upplýsingar, sem eru óáreiðanlegar eða ófullkomnar miðað við tilgang vinnslu þeirra, skuli afmá eða leiðrétta (4. tölul.). Í ljósi þess lagaramma, sem gildir um umrædda rannsókn og fyrr er lýst, telur Persónuvernd ekki fram komið að farið hafi verið í bága við þessar kröfur. Þá telur stofnunin ekki hafa komið fram að farið hafi verið gegn lögum nr. 77/2000 að öðru leyti.

 

Ú r s k u r ð a r o r ð:

Vinnsla Hagstofu Íslands á upplýsingum, sem aflað var í símtali við dóttur [A] í þágu rannsóknar á lífskjörum vorið 2017, samrýmdist lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga.